Netflow

O Netflow é um protocolo de rede popular desenvolvido pela Cisco com o objectivo de monitorizar e registar tráfego à medida que entra e sai de uma interface. O datagrama Netflow contém informações tais como endereços IP de origem, endereços IP de destino, tipo de serviço IP, e Protocolo IP.

Ao utilizar o Netflow como um analisador de tráfego de rede, os profissionais de TI podem determinar o destino, volume, origem e caminhos de rede. O Netflow é o predecessor do Simple Network Management Protocol (SNMP), que não tinha o poder de fornecer a percepção do uso da largura de banda.

Como funciona o Netflow

O Netflow funciona utilizando três componentes principais; exportador de fluxo, colector de fluxo, e analisador de fluxo.

O exportador de fluxos é um dispositivo de rede que recolhe informação de fluxos e exporta-a para um colector de fluxos.

O colector de fluxo é um dispositivo ou aparelho que recebe informação de fluxo exportada pelo exportador de fluxo.

Um analisador de fluxo é uma aplicação que analisa a informação de fluxo resultante com o contexto de métricas tais como intrusão de rede ou perfil de tráfego.

O processo de geração de dados de fluxo de rede começa imediatamente após a recepção de um pacote. O dispositivo verifica imediatamente a presença dos 5-tuplos do pacote numa tabela contendo fluxos recentemente vistos, conhecidos como flow cache.

Se o 5-tuplo estiver disponível, a entrada da cache é atualizada com um incremento de um byte do pacote. Nos casos em que o fluxo está em falta na cache, mostra que o pacote pertence a um fluxo anteriormente não detectado, daí que uma nova entrada seja adicionada à tabela. O processo pelo qual a informação é exportada para o colector de fluxo é referido como expiração do fluxo.

A expiração do fluxo é conseguida em dois cenários, nomeadamente o tempo limite inactivo e o tempo limite activo. No caso de timeout ativo, se o fluxo permanecer ativo durante algum tempo, este expira. Para os períodos inativos, se não houver atividade durante algum tempo, presume-se que o fluxo está completo, daí que o fluxo expira.

Após o colector de fluxo ter recebido a entrada de fluxo encaminhado, é encaminhado para o analisador de fluxo que analisa e gera uma percepção relevante.

Porquê utilizar o fluxo líquido?

O Netflow tem muitas aplicações benéficas, mas as principais incluem:

• Melhoria da Visibilidade da Rede
• Utilização da largura de banda e optimização do planeamento da capacidade
• Validação de parâmetros QoS
• Aumento da sensibilização para a Segurança
• Habilitação de Diagnóstico de Causa Raiz
• Identificação de estrangulamentos que precisam de ser corrigidos
• Detecção não autorizada de tráfego WAN
• Máxima utilização dos recursos da rede

Drawbacks de fluxo líquido

Apesar de ser superior em termos de funcionalidade em comparação com o Simple Network Management Protocol (SNMP), e outras tecnologias, o NetFlow tem dois grandes inconvenientes que os profissionais de TI devem estar cientes. Não só os dispositivos Cisco com Netflow exportam dois fluxos, como também têm uma visibilidade limitada quando se trata de tráfego encaminhado. Isto torna os administradores de rede cegos às comunicações VLAN e LAN que existem dentro da organização. O risco de ser sobrecarregado em infra-estruturas também não é algo que se possa anular.